联合身份认证

什么是联合身份验证？

广义而言，联合是指协作或联合体。但在互联网环境中，联合特指跨多个互联网服务集成用户身份验证。通过在不同服务之间共享身份验证信息，用户只需完成一次身份验证，即可访问多个应用或平台。

实现联合身份认证的一种常用方法是SAML（安全断言标记语言），这是一种用于跨域用户身份认证的标准协议。借助SAML，用户可以利用单点登录（SSO）功能，访问托管在不同互联网域中的多项服务。例如，在内部系统与云服务之间使用SAML后，用户登录内部系统时可同时访问云服务，无需再次进行身份认证。SAML基于XML，于2002年确立，并于2005年推出2.0版本。

要在不同域之间启用单点登录（SSO），必须在这些域之间交换身份验证信息。按照SAML术语：

• 身份提供商（IdP）负责签发身份验证信息，并处理用户验证和断言生成。
• 服务提供商（SP）依据身份验证信息授予其服务的访问权限。

当用户尝试访问SP时，SP会将该请求连同SAML身份验证请求重定向到IdP。IdP根据收到的请求对用户进行身份验证。身份验证完成后，IdP会签发一个断言，其中包含身份验证状态、用户属性和访问权限等详细信息。SP使用此断言实施访问控制并授予适当的权限。

F5 BIG-IP Access Policy Manager (APM)是F5提供的一款解决方案，支持SAML 2.0并具备单点登录（SSO）功能。它既可作为IdP处理用户身份验证并签发断言，也可作为SP接收断言并控制应用访问。